Un hallazgo reciente ha revelado que AliExpress, la popular plataforma de comercio electrónico, podría estar analizando datos invisibles del comportamiento de los usuarios a través de técnicas de fingerprinting. Este descubrimiento fue realizado por Matthew Callaghan, un ingeniero de software y experto en hardware, quien notó que los auriculares Bluetooth multipunto dejaban de transmitir audio cuando se abría la página de AliExpress en navegadores como Firefox o Chrome. Este fenómeno se producía a pesar de no existir contenido multimedia visible en la página, lo que llevó a Callaghan a investigar más a fondo.
Durante su análisis, Callaghan identificó scripts que estaban generando señales sonoras inaudibles para el usuario, operando con una configuración de ganancia ajustada a cero. Estos scripts no solo estaban involucrados en la transmisión de audio, sino que también recopilaban información sobre el renderizado de Canvas, datos de WebGL y características del sistema. Estos elementos permiten a una web singularizar un dispositivo sin necesidad de conocer la identidad del usuario.
El uso de técnicas de fingerprinting plantea cuestiones sobre la privacidad. Aunque ninguna de estas señales proporciona una identificación directa, su combinación puede ser utilizada para rastrear y reconocer dispositivos únicos. A pesar de que AliExpress admite en su política de privacidad que recopila información técnica, no se había conocido hasta ahora la utilización de pruebas de audio para este propósito.
En el ámbito regulatorio, estas prácticas están bajo la lupa, especialmente en Europa. El Comité Europeo de Protección de Datos ha abordado el fingerprinting en el contexto de la normativa de ePrivacy. Sin embargo, no se ha confirmado que AliExpress esté violando alguna normativa, y no se conoce si estas técnicas se aplican de forma generalizada.
Callaghan también plantea la incertidumbre respecto a cómo se utilizan y conservan esos datos. Es vital entender que, aunque se capten numerosas señales técnicas, no se sabe si son utilizadas para detectar fraudes o automatización, ni por cuánto tiempo se almacenan. La falta de transparencia en este proceso pone de manifiesto la necesidad de un mayor escrutinio sobre cómo las empresas manejan nuestros datos en la red.